版本控制表版本修改说明编写人 / 修改人审核人 / 批准人日期 V1.0 田勇 GZCA 2016 年 1 月 1 日

Size: px

Start display at page:

Download "版本控制表版本修改说明编写人 / 修改人审核人 / 批准人日期 V1.0 田勇 GZCA 2016 年 1 月 1 日"

托莠梗党
5 years ago
Views:

1 贵州省电子证书有限公司信鉴易 SSL 服务器证书部署指南 For Tomcat5/6/7/8/9 版本版本 :V1.0 生效日期 : 二一六年一月一日版权归属贵州省电子证书有限公司 ( 任何单位和个人不得擅自翻印 )

2 版本控制表版本修改说明编写人 / 修改人审核人 / 批准人日期 V1.0 田勇 GZCA 2016 年 1 月 1 日

3 目录一部署前特别说明... 1 二生成证书请求安装 JDK&Tomcat( 仅针对没有安装的用户 ) 生成 keystore 文件生成服务器证书请求 (CSR) 文件... 3 三安装服务器证书获取服务器证书的根证书和 CA 证书从邮件中获取转换证书编码查看 keystore 文件内容导入证书导入根证书导入 CA 证书导入服务器证书查看 keystore 文件内容部署服务器证书配置 Tomcat( 操作前备份 server.xml, 以备错误时恢复 ) 访问测试四备份和恢复备份服务器证书第 i 页

4 4.2 恢复服务器证书五证书遗失处理第 ii 页

5 一部署前特别说明 1. 信鉴易 SSL 服务器证书部署指南 ( 以下简称本部署指南 ) 主要描述如何生成证书请求和如何将 SSL 服务器证书部署到 Tomcat 服务器 2. 本部署指南的适用范围 :Tomcat 5/6/7/8/9 版本,Tomcat4 以下版本 ( 含 Tomcat 4) 没有经过严格测试 3. Tomcat 服务器部署恒信 EV SSL 和睿信 OV SSL 证书的操作步骤一致, 区别在于 : 前者在 IE7 以上浏览器访问时, 浏览器会显示安全锁标志, 地址栏会变成绿色 ; 而后者在浏览器访问时, 浏览器显示安全锁标志, 但地址栏不会变成绿色 4. 本部署指南使用 testweb cn 作为样例进行安装配置, 实际部署过程请用户根据正式的域名进行配置 5. 您可以按照自己的方式部署, 并不要求必须按照本部署指南的方式安装第 1 页

6 二生成证书请求 2.1 安装 JDK&Tomcat( 仅针对没有安装的用户 ) 安装过程比较简单, 采取默认方式安装即可, 如有需要可以修改安装的目录 2.2 生成 keystore 文件生成密钥库文件 keystore.jks 需要使用 JDK 的 keytool 工具命令行进入 JDK 或 JRE 下的 bin 目录, 运行 keytool 命令 ( 示例中粗体部分为可自定义部分, 可根据实际配置情况相应修改 ) keytool -genkey -alias gdca -keyalg RSA -keysize keystore D:\gdca.jks (JDK 6 及以上版本, 密码输入时不会回显 ) 第 2 页

7 (JDK 5 版本, 密码明文显示 ) 以上命令中,gdca 为私钥别名 (-alias), 生成的 gdca.jks 文件默认放在 D 盘根目录下注意 : 请务必根据提示录入全部项目, 并保证其准确性 ; 若输出路径含有空格, 需使用英文状态下的双引号括起来 ; keystore 密码至少 6 个字符, 若电脑安装了 JDK 6 或以上版本, 密码输入时不会显示 ; 若安装了 JDK 5 版本, 密码输入时将可能出现明文显示, 请务必注意并牢记此密码, 尤其含有大小写字母的情况 ; 下文涉及到 keytool 工具输入的密码均为此密码 ; 如组织名称含有逗号, 录入时不用输入引号, 一般系统会在下面提示信息中的组织名称自动添加引号, 请务必查看 ; 如发现没有引号, 请关闭命令行窗口, 然后打开一个新窗口重新操作 ; 提示输入主密码时直接按回车即可, 保证 keystore 密码与 gdca 主密码一致 2.3 生成服务器证书请求 (CSR) 文件输入如下命令 : 第 3 页

8 keytool -certreq -alias gdca -sigalg SHA256withRSA -file D:\certreq.csr -keystore D:\gdca.jks 请备份密钥库文件 gdca.jks, 将证书请求文件 certreq.csr 提交给 GZCA, 等待证书签发如密钥库文件 gdca.jks 丢失, 会导致证书不可用第 4 页

三安装服务器证书 3.1 获取服务器证书的根证书和 CA 证书服务器证书需要安装根证书和 CA 证书, 以确保证书在浏览器中的兼容性 3.1.1 从邮件中获取在您完成申请 GZCA 服务器证书的流程后,GZCA 将会在返回给您的邮件中附上服务器证书以及根证书 GDCA_TrustAUTH_R5_ROOT.

cer; 如果您申请的是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate),CA 证书就是文件就是 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.

9 三安装服务器证书 3.1 获取服务器证书的根证书和 CA 证书服务器证书需要安装根证书和 CA 证书, 以确保证书在浏览器中的兼容性从邮件中获取在您完成申请 GZCA 服务器证书的流程后,GZCA 将会在返回给您的邮件中附上服务器证书以及根证书 GDCA_TrustAUTH_R5_ROOT.cer 和相应的 CA 证书如果您申请的是睿信 (OV) SSL 证书 (Organization Validation SSL Certificate),CA 证书就是文件就是 GDCA_TrustAUTH_R4_SSL_CA.cer; 如果您申请的是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate),CA 证书就是文件就是 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer, 请确认所收到的证书文件是您需要的 CA 证书 GDCA_TrustAUTH_R4_SSL_CA.cer(OV SSL): GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer(EV SSL): 第 5 页

10 3.1.2 转换证书编码服务器证书的根证书和 CA 证书需要先转换为 Base64 编码格式以根证书为例 : 1 打开证书第 6 页

11 2 详细信息 - 复制到文件第 7 页

12 3 在证书导出向导里, 将证书编码改成 Base64 编码格式第 8 页

13 导出到指定目录里转换成 Base64 编码格式后, 用编辑器打开, 可以看到文件内容是以 -----BEGIN CERTIFICATE----- 开头,-----END CERTIFICATE----- 结尾以同样方式将 CA 证书也转换成 Base64 编码格式第 9 页

14 第 10 页地址 : 中国贵州省贵阳市中山东路 169 号邮编 :550001

$3.2 查看 keystore 文件内容进入 JDK 安装目录下的 bin 目录, 运行 keytool -list -keystore d:\gdca.jks 查询 keystore 文件信息 3.3 导入证书 3.3.1 导入根证书导入前将 GDCA TrustAUTH R5 ROOT.$ $cer, 用户可以修改为其他容易记忆的名字输入如下命令完成导入 : keytool -import -alias ca2 -keystore D:\gdca.jks -trustcacerts -file D:\ca2.cer -noprompt 第 11 页$

15 3.2 查看 keystore 文件内容进入 JDK 安装目录下的 bin 目录, 运行 keytool -list -keystore d:\gdca.jks 查询 keystore 文件信息 3.3 导入证书导入根证书导入前将 GDCA TrustAUTH R5 ROOT.cer 文件改名为 ca1.cer, 用户可以修改为其他容易记忆的名字输入如下命令完成导入 : keytool -import -alias ca1 -keystore D:\gdca.jks -trustcacerts -file D:\ca1.cer -noprompt 导入 CA 证书导入前将 GDCA TrustAUTH R4 Extended Validation SSL CA.cer 或 GDCA TrustAUTH R4 SSL CA.cer 文件改名为 ca2.cer, 用户可以修改为其他容易记忆的名字输入如下命令完成导入 : keytool -import -alias ca2 -keystore D:\gdca.jks -trustcacerts -file D:\ca2.cer -noprompt 第 11 页

$cer, 用户可以选择修改为其他容易记忆的名字或直接使用默认名字输入如下命令完成导入 : keytool -import -alias gdca -keystore D:\gdca.jks -trustcacerts -file D:\server.$ $cer 注意 : 导入服务器证书时, 服务器证书的别名必须和私钥别名一致 3.3.4 查看 keystore 文件内容证书导入完成, 运行 keytool -list -keystore D:\gdca.jks, 查看 keystore 文件内容 3.$

16 3.3.3 导入服务器证书导入前将服务器证书文件 testweb cn.cer 改名为 server.cer, 用户可以选择修改为其他容易记忆的名字或直接使用默认名字输入如下命令完成导入 : keytool -import -alias gdca -keystore D:\gdca.jks -trustcacerts -file D:\server.cer 注意 : 导入服务器证书时, 服务器证书的别名必须和私钥别名一致查看 keystore 文件内容证书导入完成, 运行 keytool -list -keystore D:\gdca.jks, 查看 keystore 文件内容 3.4 部署服务器证书配置 Tomcat( 操作前备份 server.xml, 以备错误时恢复 ) 复制已正确导入认证回复的 gdca.jks 文件到 Tomcat 安装目录下的 conf 目录, 使用文本编辑器打开 conf 目录下的 server.xml 文件, 找到并修改以下内容 : <! <Connector port="8443" / > --> 第 12 页

17 默认情况下 <Connector port="8443" /> 是被注释的, 配置时需把  去掉, 然后对其节点进行相应的修改, 需区分 Tomcat 版本来修改 1. Tomcat 5 版本 2. Tomcat 6/7/8 版本 3. Tomcat 9 版本默认的 SSL 访问端口号为 443, 如果使用其他端口号, 则您需要使用的方式来访问您的站点, 防火墙要开放相应的 port 访问测试服务器若部署了 SSL 证书, 浏览器访问时将出现安全锁标志 ; 若部署了 EV SSL 证书, 浏览器除了显示安全锁标志, 地址栏会变成绿色, 如下图 : 第 13 页

18 四备份和恢复在您完成服务器证书的安装与配置后, 请务必要备份好您的服务器证书, 避免证书遗失给您造成不便 4.1 备份服务器证书备份服务器证书密钥库文件 gdca.jks 文件即可完成服务器证书的备份操作 4.2 恢复服务器证书请参照 3.4 部署服务器证书章节, 将服务器证书密钥库 gdca.jks 文件恢复到您的服务器上, 并修改配置文件, 恢复服务器证书的应用第 14 页

19 五证书遗失处理若您的证书文件损坏或者丢失且没有证书的备份文件, 请联系 GZCA( 客服热线 ) 办理遗失补办业务, 重新签发服务器证书第 15 页

目录一部署前特别说明... 3 二生成证书请求安装 JDK&Tomcat( 仅针对没有安装的用户 ) 生成 keystore 文件生成证书请求文件 (CSR)... 5 三导入服务器证书获取服务器证书获取

目录一部署前特别说明... 3 二生成证书请求安装 JDK&Tomcat( 仅针对没有安装的用户 ) 生成 keystore 文件生成证书请求文件 (CSR)... 5 三导入服务器证书获取服务器证书获取广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南 For Tomcat5/6/7/8/9 版本 2015/11/23 目录一部署前特别说明... 3 二生成证书请求... 3 1. 安装 JDK&Tomcat( 仅针对没有安装的用户 )... 3 2. 生成 keystore 文件... 3 3. 生成证书请求文件 (CSR)... 5 三导入服务器证书... 5 1.

版本控制表 版本修改说明编写人 / 修改人审核人 / 批准人日期 V1.0 田勇 GZCA 2016 年 1 月 1 日

版本控制表版本修改说明编写人 / 修改人审核人 / 批准人日期 V1.0 田勇 GZCA 2016 年 1 月 1 日